把踩过的坑，写成一页笔记

在边缘节点上收口 TLS：一次落地的架构笔记

把 443 交给前置服务、把业务收回到回环地址，再让反向代理只认 PROXY protocol。记录这套结构里每个环节的作用，以及证书续期最容易出错的地方。

证书自动化：webroot 与 standalone 怎么选

standalone 会独占 80 端口，一旦前面有 Web 服务就必然失败。把验证文件交给 webroot 目录，续期才能真正无人值守。

让访问日志说真话：还原访客真实 IP

经过一层代理后，$remote_addr 全变成 127.0.0.1，排查问题基本没法用。PROXY protocol 和 realip 模块的配合方式值得单独写一段。

重读拥塞控制那一章，顺手把几台机器的内核参数对着看了一遍，比第一次读清楚多了。

用 restic + 定时任务做增量备份，异地保留 30 天。等跑满一个月再来补一篇复盘。